Docker Compose 中安全使用 Secrets 的完整指南

Docker Compose 中安全使用 Secrets 的完整指南

docs Source repo for Docker's Documentation 项目地址: https://gitcode.com/gh_mirrors/docs3/docs

前言

在现代应用开发中，敏感信息(如数据库密码、API密钥、证书等)的安全管理至关重要。Docker Compose 提供了 Secrets 机制来帮助开发者安全地管理这些敏感数据。本文将深入探讨如何在 Docker Compose 中使用 Secrets，以及它相比传统环境变量的优势。

Secrets 基础概念

什么是 Secrets

Secrets 是 Docker 提供的一种安全机制，用于管理敏感数据，如：

• 数据库密码
• API 密钥
• SSL/TLS 证书
• SSH 私钥
• 其他任何不应明文存储或传输的凭证

为什么需要 Secrets

传统使用环境变量存储敏感信息存在以下问题：

1. 安全性不足：环境变量通常对所有进程可见
2. 日志泄露风险：调试时可能无意中将敏感信息打印到日志
3. 缺乏访问控制：所有服务都能访问所有环境变量

Secrets 通过以下方式解决这些问题：

• 以文件形式挂载到容器中
• 提供细粒度的访问控制
• 不在容器文件系统中持久化存储

Secrets 工作原理

基本流程

在 Docker Compose 中使用 Secrets 分为两个步骤：

1. 定义 Secrets：在 Compose 文件的顶级 secrets 部分声明
2. 引用 Secrets：在服务配置中指定需要访问的 Secrets

容器内访问方式

Secrets 会被挂载到容器的 /run/secrets/<secret_name> 路径下，以文件形式存在。这种方式允许通过标准的文件系统权限进行访问控制。

实战示例

基础示例

services:
  myapp:
    image: myapp:latest
    secrets:
      - my_secret  # 引用名为my_secret的secret

secrets:
  my_secret:
    file: ./my_secret.txt  # 从本地文件创建secret

在这个例子中：

1. 从 ./my_secret.txt 文件创建名为 my_secret 的 secret
2. myapp 服务可以访问这个 secret
3. 在容器内，可以通过 /run/secrets/my_secret 读取内容

高级示例：WordPress 与 MySQL

services:
  db:
    image: mysql:latest
    environment:
      MYSQL_ROOT_PASSWORD_FILE: /run/secrets/db_root_password
      MYSQL_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_root_password
      - db_password

  wordpress:
    image: wordpress:latest
    environment:
      WORDPRESS_DB_PASSWORD_FILE: /run/secrets/db_password
    secrets:
      - db_password

secrets:
  db_password:
    file: db_password.txt
  db_root_password:
    file: db_root_password.txt

这个例子展示了：

1. MySQL 容器使用两个 secrets：root 密码和普通用户密码
2. WordPress 容器只使用普通用户密码
3. 使用 _FILE 后缀环境变量是 MySQL 和 WordPress 官方镜像的推荐做法

构建时 Secrets

services:
  myapp:
    build:
      secrets:
        - npm_token
      context: .

secrets:
  npm_token:
    environment: NPM_TOKEN  # 从环境变量获取值

这个例子展示了：

1. 构建时使用 secret（如 npm token）
2. secret 值来自宿主机的 NPM_TOKEN 环境变量

最佳实践

1. 最小权限原则：只给服务分配它真正需要的 secrets
2. 文件权限：合理设置 secrets 文件的权限（默认 0444）
3. 避免硬编码：不要将敏感信息直接写入 Dockerfile 或源代码
4. 版本控制：将 secrets 文件加入 .gitignore 避免误提交
5. 生命周期管理：定期轮换 secrets

常见问题解答

Q: Secrets 和环境变量哪个更安全？ A: Secrets 更安全，因为它们以文件形式存在，不显示在进程列表或日志中。

Q: Secrets 会持久化存储在容器中吗？ A: 不会，它们存储在内存文件系统中，容器停止后即消失。

Q: 多个服务可以共享同一个 secret 吗？ A: 可以，只需在每个服务的配置中引用同一个 secret 即可。

Q: 如何更新 secret？ A: 需要更新源文件或环境变量，然后重新部署服务。

总结

Docker Compose 的 Secrets 机制为敏感数据管理提供了安全、灵活的解决方案。通过本文的介绍，你应该已经掌握了：

• Secrets 的基本概念和优势
• 如何在 Compose 文件中定义和使用 secrets
• 实际应用中的最佳实践
• 常见问题的解决方法

合理使用 Secrets 可以显著提升应用的安全性，是每个 Docker 用户都应该掌握的技能。

docs Source repo for Docker's Documentation 项目地址: https://gitcode.com/gh_mirrors/docs3/docs